IT
AI 해킹·공급망 공격 시대… OSBC, 외부 ‘반입 파일 검증 체계’ 구축 방안 제시
최근 금융권을 중심으로 해킹과 개인정보 유출 사고가 잇따르고 있는 가운데 오픈소스 보안 및 소프트웨어 공급망 관리 전문기업 오에스비씨(OSBC, 대표 김택완)가 금융권을 대상으로 리버싱랩스의 ‘반입 파일 검증 체계’ 솔루션 공급과 기술 지원에 본격 나선다고 밝혔다.
오에스비씨는 파일 정밀 분석 및 소프트웨어 공급망 보안 전문기업 리버싱랩스(ReversingLabs)의 국내 총판으로, 리버싱랩스의 반입 파일 검증 솔루션은 외부에서 반입되는 파일의 위·변조 여부와 무결성을 사전에 검증해 해킹·개인정보 유출 사고에 대응할 최적 솔루션으로 꼽힌다.
최근 국내 금융권은 대형 카드사와 주요 시중은행, 제2금융권은 물론 연계 IT 서비스 공급망에 이르기까지 연쇄적인 해킹과 대규모 개인정보 유출 사고로 심각한 보안 위기에 직면해 있다.
한 대형 카드사에서는 수년 전 공개된 서버 소프트웨어(오라클 웹로직)의 보안 패치가 누락된 결제 서버 단 1대를 통해 웹셸(Webshell)이 침투하면서 수백만 명의 개인정보와 카드 CVC 등 민감한 결제 정보가 외부로 노출됐다. 다수의 주요 시중은행에서도 간편조회 서비스의 인증 허점이나 외주 개발 인력이 사용하는 영업지원시스템 등 이른바 ‘약한 고리’를 노린 외부 침입으로 고객 및 임직원 정보 유출이 잇따랐다. 저축은행 업권 역시 오픈소스 데이터베이스의 취약점을 통한 비인가 접근이 발생하는 등 업권 전반에 경고등이 켜졌다.
금융권 밖에서도 공급망을 통한 피해가 확산되고 있다. 한 온라인 교육 솔루션 업체가 해킹되면서 이를 이용하는 20여 개 교육 사이트에서 연쇄 유출이 발생했고, 한 학회 홈페이지 관리업체의 시스템이 뚫리면서 여러 학회의 회원 정보가 대규모로 유출됐다. IT 서비스 공급망이 얼마나 치명적인 공격 통로가 될 수 있는지를 보여주는 사례다. 금융감독원 집계에 의하면 최근 5년 여간 보고된 전자금융사고 및 침해사고는 2100건을 넘었으며, 사고 발생 후 한 달이 지나서야 인지한 사례도 91건에 달한다.
◇ AI로 고도화되는 공격… ‘100% 차단은 불가능’
사이버 위협의 양상도 과거의 단순 피싱이나 알려진 악성코드 유포 수준을 훨씬 넘어섰다. 일부 금융권 해킹 과정에서는 AI 기반 자율 침투 프레임워크가 악용된 정황이 발견되기도 했다. 해커들은 생성형 AI와 멀티 에이전트 기술을 활용해 시스템 취약점을 자동으로 탐색하고 공격 파라미터를 실시간으로 변조하고 있다. 여기에 외주 개발사, 위탁 관리업체, 오픈소스 패키지 등 IT 공급망을 겨냥한 우회 공격이 결합되면서 금융권을 향한 위협은 더욱 정교하고 빈번해질 전망이다.
오에스비씨는 실시간으로 변종 공격 패턴을 만들어내는 이 같은 위협을 방화벽이나 기존 차단 장비만으로 100% 막아내는 것은 사실상 불가능하다고 진단했다. 완벽한 실시간 차단에 기대기보다 위협이 내부로 유입되는 접점을 정밀하게 식별하고, 피해 가능성을 최소화하는 실질적인 검증 체계를 갖추는 것이 현실적인 해법이라는 설명이다.
◇ 핵심은 ‘외부 반입 파일 무결성 검증’
오에스비씨는 금융사 보안 관리자가 가장 먼저 확보해야 할 대응 방안으로 외부에서 반입되는 파일의 위·변조 여부와 무결성을 검증하는 절차를 꼽았다. 외주 개발사가 납품하는 실행 모듈, 위탁 관리업체를 통해 연계되는 파일, 외부 패키지와 오픈소스 라이브러리에는 난독화된 웹셸, 악성 스크립트, 은밀히 숨겨진 백도어가 포함될 위험이 상존한다.
이에 오에스비씨는 파일이 운영 서버나 내부망에 반영되기 전에 확장자나 정적 시그니처를 확인하는 수준을 넘어 바이너리 레벨에서 파일을 세부 레이어로 분해하고 정적·동적 행위 분석과 위·변조 여부를 신속하게 전수 검증하는 프로세스를 갖춰야 한다고 설명한다.
◇ 리버싱랩스, 소스코드 없이 바이너리 정밀 분석
리버싱랩스는 소스코드 없이도 대용량 바이너리와 소프트웨어 패키지, 반입 파일 내부에 숨은 악성 스크립트·웹셸·백도어 등을 정밀 분해 기술로 심층 분석하는 엔진을 제공한다. 또한 4000억 개 이상의 파일 샘플을 보유한 글로벌 악성코드·위협 인텔리전스 DB(Spectra Intelligence)와 연동해 AI가 생성한 신종·변종 페이로드나 공급망을 통해 유입되는 지능형 위협을 식별할 수 있도록 지원한다.
금융사는 외주 개발사가 납품한 소프트웨어나 업데이트 파일을 운영 환경에 반영하기 전 리버싱랩스로 검증함으로써 공급망을 통한 악성코드 유입을 선제적으로 차단하고 사고 인지가 늦어지는 위험을 낮출 수 있다.
오에스비씨 김택완 대표는 “AI를 악용한 공격이 고도화되면서 모든 위협을 입구에서 막아내는 ‘100% 보안’은 더 이상 현실적인 목표가 아니다”라며 “외주·위탁업체와 오픈소스를 포함한 공급망 전 과정에서 반입 파일을 사전에 검증하는 체계를 갖추는 것이 금융권이 지금 바로 실행할 수 있는 가장 실질적인 대응”이라고 말했다.
이어 “오에스비씨가 축적해 온 오픈소스·SBOM 기반 공급망 관리 역량과 리버싱랩스의 바이너리 분석 기술을 결합해 금융권의 공급망 보안 강화를 지원하겠다”고 덧붙였다.
리버싱랩스 소개
리버싱랩스(ReversingLabs)는 2009년 설립된 파일 및 소프트웨어 공급망 보안 전문 기업으로, 미국 매사추세츠주 케임브리지에 본사를, 크로아티아 자그레브에 거점을 두고 있다. 15년 이상 축적한 악성코드 분석 및 위협 인텔리전스 연구를 바탕으로 파일과 소프트웨어를 실행하지 않고 바이너리 수준에서 분해·분석하는 독자 엔진 ‘Spectra Core’를 보유하고 있다. 4220억 개 이상의 검색 가능한 파일로 구성된 대규모 위협 데이터를 기반으로 포춘 500 기업과 글로벌 주요 보안 기업들이 리버싱랩스의 기술을 활용하고 있다.
OSBC 소개
오에스비씨(OSBC)는 2006년 설립된 국내 최초의 오픈소스 보안 및 컴플라이언스 관리 전문 기업이다. 오픈소스/SBOM 관리 솔루션과 컨설팅을 제공하며, 2022년부터 글로벌 선두 보안 플랫폼인 Snyk(스닉)을 비롯해 FossID, Clarity 솔루션을 국내 독점 유통하고 있다. 또한 파일 정밀 분석 및 소프트웨어 공급망 보안 전문기업 리버싱랩스(ReversingLabs)의 국내 총판을 맡고 있다.
리버싱랩스 로고
최근 국내 금융권은 대형 카드사와 주요 시중은행, 제2금융권은 물론 연계 IT 서비스 공급망에 이르기까지 연쇄적인 해킹과 대규모 개인정보 유출 사고로 심각한 보안 위기에 직면해 있다.
한 대형 카드사에서는 수년 전 공개된 서버 소프트웨어(오라클 웹로직)의 보안 패치가 누락된 결제 서버 단 1대를 통해 웹셸(Webshell)이 침투하면서 수백만 명의 개인정보와 카드 CVC 등 민감한 결제 정보가 외부로 노출됐다. 다수의 주요 시중은행에서도 간편조회 서비스의 인증 허점이나 외주 개발 인력이 사용하는 영업지원시스템 등 이른바 ‘약한 고리’를 노린 외부 침입으로 고객 및 임직원 정보 유출이 잇따랐다. 저축은행 업권 역시 오픈소스 데이터베이스의 취약점을 통한 비인가 접근이 발생하는 등 업권 전반에 경고등이 켜졌다.
금융권 밖에서도 공급망을 통한 피해가 확산되고 있다. 한 온라인 교육 솔루션 업체가 해킹되면서 이를 이용하는 20여 개 교육 사이트에서 연쇄 유출이 발생했고, 한 학회 홈페이지 관리업체의 시스템이 뚫리면서 여러 학회의 회원 정보가 대규모로 유출됐다. IT 서비스 공급망이 얼마나 치명적인 공격 통로가 될 수 있는지를 보여주는 사례다. 금융감독원 집계에 의하면 최근 5년 여간 보고된 전자금융사고 및 침해사고는 2100건을 넘었으며, 사고 발생 후 한 달이 지나서야 인지한 사례도 91건에 달한다.
◇ AI로 고도화되는 공격… ‘100% 차단은 불가능’
사이버 위협의 양상도 과거의 단순 피싱이나 알려진 악성코드 유포 수준을 훨씬 넘어섰다. 일부 금융권 해킹 과정에서는 AI 기반 자율 침투 프레임워크가 악용된 정황이 발견되기도 했다. 해커들은 생성형 AI와 멀티 에이전트 기술을 활용해 시스템 취약점을 자동으로 탐색하고 공격 파라미터를 실시간으로 변조하고 있다. 여기에 외주 개발사, 위탁 관리업체, 오픈소스 패키지 등 IT 공급망을 겨냥한 우회 공격이 결합되면서 금융권을 향한 위협은 더욱 정교하고 빈번해질 전망이다.
오에스비씨는 실시간으로 변종 공격 패턴을 만들어내는 이 같은 위협을 방화벽이나 기존 차단 장비만으로 100% 막아내는 것은 사실상 불가능하다고 진단했다. 완벽한 실시간 차단에 기대기보다 위협이 내부로 유입되는 접점을 정밀하게 식별하고, 피해 가능성을 최소화하는 실질적인 검증 체계를 갖추는 것이 현실적인 해법이라는 설명이다.
◇ 핵심은 ‘외부 반입 파일 무결성 검증’
오에스비씨는 금융사 보안 관리자가 가장 먼저 확보해야 할 대응 방안으로 외부에서 반입되는 파일의 위·변조 여부와 무결성을 검증하는 절차를 꼽았다. 외주 개발사가 납품하는 실행 모듈, 위탁 관리업체를 통해 연계되는 파일, 외부 패키지와 오픈소스 라이브러리에는 난독화된 웹셸, 악성 스크립트, 은밀히 숨겨진 백도어가 포함될 위험이 상존한다.
이에 오에스비씨는 파일이 운영 서버나 내부망에 반영되기 전에 확장자나 정적 시그니처를 확인하는 수준을 넘어 바이너리 레벨에서 파일을 세부 레이어로 분해하고 정적·동적 행위 분석과 위·변조 여부를 신속하게 전수 검증하는 프로세스를 갖춰야 한다고 설명한다.
◇ 리버싱랩스, 소스코드 없이 바이너리 정밀 분석
리버싱랩스는 소스코드 없이도 대용량 바이너리와 소프트웨어 패키지, 반입 파일 내부에 숨은 악성 스크립트·웹셸·백도어 등을 정밀 분해 기술로 심층 분석하는 엔진을 제공한다. 또한 4000억 개 이상의 파일 샘플을 보유한 글로벌 악성코드·위협 인텔리전스 DB(Spectra Intelligence)와 연동해 AI가 생성한 신종·변종 페이로드나 공급망을 통해 유입되는 지능형 위협을 식별할 수 있도록 지원한다.
금융사는 외주 개발사가 납품한 소프트웨어나 업데이트 파일을 운영 환경에 반영하기 전 리버싱랩스로 검증함으로써 공급망을 통한 악성코드 유입을 선제적으로 차단하고 사고 인지가 늦어지는 위험을 낮출 수 있다.
오에스비씨 김택완 대표는 “AI를 악용한 공격이 고도화되면서 모든 위협을 입구에서 막아내는 ‘100% 보안’은 더 이상 현실적인 목표가 아니다”라며 “외주·위탁업체와 오픈소스를 포함한 공급망 전 과정에서 반입 파일을 사전에 검증하는 체계를 갖추는 것이 금융권이 지금 바로 실행할 수 있는 가장 실질적인 대응”이라고 말했다.
이어 “오에스비씨가 축적해 온 오픈소스·SBOM 기반 공급망 관리 역량과 리버싱랩스의 바이너리 분석 기술을 결합해 금융권의 공급망 보안 강화를 지원하겠다”고 덧붙였다.
리버싱랩스 소개
리버싱랩스(ReversingLabs)는 2009년 설립된 파일 및 소프트웨어 공급망 보안 전문 기업으로, 미국 매사추세츠주 케임브리지에 본사를, 크로아티아 자그레브에 거점을 두고 있다. 15년 이상 축적한 악성코드 분석 및 위협 인텔리전스 연구를 바탕으로 파일과 소프트웨어를 실행하지 않고 바이너리 수준에서 분해·분석하는 독자 엔진 ‘Spectra Core’를 보유하고 있다. 4220억 개 이상의 검색 가능한 파일로 구성된 대규모 위협 데이터를 기반으로 포춘 500 기업과 글로벌 주요 보안 기업들이 리버싱랩스의 기술을 활용하고 있다.
OSBC 소개
오에스비씨(OSBC)는 2006년 설립된 국내 최초의 오픈소스 보안 및 컴플라이언스 관리 전문 기업이다. 오픈소스/SBOM 관리 솔루션과 컨설팅을 제공하며, 2022년부터 글로벌 선두 보안 플랫폼인 Snyk(스닉)을 비롯해 FossID, Clarity 솔루션을 국내 독점 유통하고 있다. 또한 파일 정밀 분석 및 소프트웨어 공급망 보안 전문기업 리버싱랩스(ReversingLabs)의 국내 총판을 맡고 있다.
공유하기